Accordo sul trattamento dei dati (DPA)

Allegato alle Condizioni generali di contratto di Lubai

1. Parti e ruoli#

1.1 Il cliente è titolare del trattamento dei dati personali che derivano dal suo sito web e dalle sue automazioni.

1.2 Marco Lutz, nome commerciale Lubai, Via Giuseppe Sirtori 10, 20129 Milano (MI), Italia, Partita IVA IT14640610961 («Lubai»), è responsabile del trattamento.

2. Oggetto e durata#

2.1 Il presente DPA disciplina il trattamento di dati personali da parte di Lubai per conto del cliente, quando Lubai realizza, ospita o gestisce il sito web e le automazioni del cliente.

2.2 Il DPA è parte integrante delle CGC (art. 11.2) e vale per tutta la durata del contratto, e successivamente fino alla cancellazione o alla restituzione dei dati (sezione 10). Si fonda sull'art. 28 GDPR e, ove applicabile, sulla legge federale svizzera sulla protezione dei dati.

3. Tipo di dati e persone interessate#

3.1 Possono essere trattati: dati di contatto (nome, indirizzo e-mail, numero di telefono), dati di appuntamenti e prenotazioni, dati d'ordine in caso di preordini, dati di comunicazione (ad es. messaggi di conferma e promemoria, messaggi nel chatbot, chiamate al telefono AI), dati organizzativi e dati dei collaboratori del cliente con accesso.

3.2 Sono interessati i visitatori del sito, chi invia richieste, la clientela e i potenziali clienti del cliente, nonché i suoi collaboratori.

3.3 Il cliente non raccoglie tramite il sito categorie particolari di dati personali (ad es. dati sanitari), salvo previo consenso scritto di Lubai.

4. Obblighi di Lubai#

4.1 Lubai tratta i dati personali solo su istruzione documentata del cliente. Il contratto e i suoi allegati costituiscono l'istruzione. Se Lubai ritiene illecita un'istruzione, ne informa subito il cliente.

4.2 Lubai vincola alla riservatezza tutte le persone che hanno accesso ai dati. L'obbligo permane anche dopo la fine del contratto.

4.3 Lubai adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (dettagli alla sezione 6).

4.4 Lubai assiste il cliente, nei limiti del ragionevole, nelle richieste degli interessati (sezione 7), nella notifica delle violazioni dei dati (sezione 8) e nelle valutazioni d'impatto sulla protezione dei dati. L'impegno superiore a un'ora per caso viene fatturato secondo la tariffa oraria indicata nell'offerta o, in mancanza, secondo la tariffa oraria di Pflege Basis indicata sul sito.

4.5 Lubai non utilizza i dati per scopi propri e non li comunica a terzi, salvo ai sub-responsabili ai sensi della sezione 5.

5. Sub-responsabili del trattamento#

5.1 Il cliente acconsente a che Lubai si avvalga di sub-responsabili nella misura necessaria per le prestazioni concordate. A seconda della prestazione, sono: Infomaniak (hosting ed e-mail, Svizzera), Cal.com (prenotazione appuntamenti), Stripe (pagamenti), WhatsApp/Meta (comunicazione via WhatsApp), Anthropic (funzioni di AI), Google (integrazione del calendario) e GoHighLevel (chatbot). Viene impiegato solo ciò che è effettivamente prenotato dal cliente.

5.2 Lubai stipula con ogni sub-responsabile un contratto che gli impone, in sostanza, gli stessi obblighi di protezione dei dati del presente DPA. Lubai resta responsabile nei confronti del cliente, nei limiti delle CGC, del rispetto di tali obblighi.

5.3 Il cliente riceve su richiesta l'elenco aggiornato.

5.4 Se Lubai intende aggiungere o sostituire un sub-responsabile, ne informa il cliente in forma testuale almeno 14 giorni prima. Entro tale termine il cliente può opporsi per motivi di protezione dei dati. Se le parti non trovano un accordo, il cliente può recedere dalla parte interessata del contratto con effetto dalla fine del mese in corso. Restano ferme le rate dell'opzione mensile (art. 5.2 delle CGC).

6. Sicurezza e misure#

6.1 Lubai adotta almeno le seguenti misure:
a) Il sito viene trasmesso in forma cifrata (HTTPS/SSL).
b) L'accesso all'amministrazione e all'hosting è riservato a Lubai, con login personale e, ove disponibile, autenticazione a due fattori.
c) Lubai esegue regolarmente copie di sicurezza (backup).
d) Lubai mantiene software e sistemi aggiornati con aggiornamenti regolari.
e) Hanno accesso ai dati solo le persone che ne hanno bisogno per la prestazione.

6.2 L'hosting avviene presso Infomaniak in Svizzera.

6.3 Se i dati personali vengono trasferiti in un paese al di fuori dello SEE e della Svizzera (ad es. a fornitori negli USA), ciò avviene solo sulla base di una decisione di adeguatezza o delle clausole contrattuali standard dell'UE.

6.4 Lubai può adeguare le misure allo stato della tecnica, purché il livello di protezione non diminuisca.

7. Diritti degli interessati#

7.1 Se un interessato si rivolge direttamente a Lubai, ad es. con una richiesta di accesso, rettifica, cancellazione, limitazione, opposizione o portabilità dei dati, Lubai inoltra la richiesta al cliente entro 5 giorni lavorativi. Lubai non vi risponde nel merito, salvo istruzione del cliente.

7.2 Lubai assiste il cliente sul piano tecnico nell'evasione di tali richieste, ad es. ricercando, esportando, rettificando o cancellando dati (art. 4.4).

7.3 Il cliente resta responsabile di rispondere all'interessato entro i termini di legge.

8. Violazioni dei dati#

8.1 Se Lubai viene a conoscenza di una violazione dei dati personali (data breach), la comunica al cliente senza ingiustificato ritardo, possibilmente entro 48 ore dalla conoscenza.

8.2 La comunicazione contiene, per quanto noto: la natura della violazione, i dati interessati e il numero approssimativo di persone coinvolte, le possibili conseguenze, nonché le misure adottate e proposte. Lubai fornisce successivamente le informazioni mancanti.

8.3 Lubai adotta senza indugio misure per porre rimedio alla violazione e limitare il danno.

8.4 La notifica alle autorità di controllo e agli interessati spetta al cliente. Lubai lo assiste in tal senso (art. 4.4). Lubai non effettua notifiche proprie ad autorità o interessati, salvo che vi sia tenuta per legge.

9. Istruzioni del cliente#

9.1 Il cliente impartisce le istruzioni in forma testuale, ad es. via e-mail. Le istruzioni verbali vengono confermate senza indugio in forma testuale.

9.2 Sono legittimate a impartire istruzioni le persone che il cliente ha comunicato a Lubai. Se il cliente non ha indicato nessuno, è la persona che ha concluso il contratto per suo conto.

9.3 Le istruzioni che eccedono l'ambito di prestazioni concordato sono trattate da Lubai come modifica ai sensi delle CGC, e l'onere aggiuntivo viene fatturato secondo la tariffa oraria indicata nell'offerta o, in mancanza, secondo la tariffa oraria di Pflege Basis indicata sul sito. Lubai non esegue istruzioni contrarie alla legge (art. 4.1).

10. Cancellazione e restituzione#

10.1 Dopo la fine del contratto Lubai consegna al cliente, su richiesta, i suoi dati in un formato di uso comune. Restano a disposizione per l'esportazione per 30 giorni (art. 6.6 delle CGC).

10.2 Successivamente Lubai cancella i dati personali del cliente. Le copie di sicurezza vengono sovrascritte secondo il ciclo abituale.

10.3 Su richiesta Lubai conferma la cancellazione in forma testuale.

10.4 Restano fermi gli obblighi legali di conservazione. Se Lubai deve conservare dati più a lungo, li blocca e li utilizza solo a tale scopo.

11. Verifiche#

11.1 Su richiesta Lubai mette a disposizione del cliente le informazioni necessarie per dimostrare il rispetto del presente DPA.

11.2 Il cliente può verificare il rispetto del DPA personalmente o tramite una persona vincolata alla riservatezza. Comunica la verifica in forma testuale con almeno 30 giorni di preavviso. Essa si svolge durante il normale orario di lavoro, di regola al massimo una volta all'anno e in modo da non turbare in modo sproporzionato l'attività di Lubai. Dopo una violazione dei dati o su richiesta di un'autorità è possibile anche una verifica supplementare.

11.3 La verifica avviene in primo luogo per iscritto o in videochiamata. Sono esclusi i dati di altri clienti e i segreti commerciali di Lubai.

11.4 Il cliente sostiene i costi della verifica. L'impegno di Lubai superiore a un'ora viene fatturato secondo la tariffa oraria indicata nell'offerta o, in mancanza, secondo la tariffa oraria di Pflege Basis indicata sul sito.

12. Account e accessi del cliente; accettazione#

12.1 Se il cliente mette a disposizione di Lubai accessi ai propri account presso terzi (ad es. dominio, Stripe, Cal.com, Google, GoHighLevel), Lubai li utilizza solo per le prestazioni concordate.

12.2 Per gli account intestati al cliente (art. 6.4 delle CGC), il cliente resta controparte contrattuale del fornitore ed è responsabile di costi e condizioni d'uso.

12.3 Lubai custodisce con cura le credenziali di accesso e non le comunica a terzi. Dopo la fine del contratto Lubai le cancella o le consegna, e il cliente modifica le proprie password.

12.4 Il presente DPA si perfeziona con l'accettazione delle CGC. È sufficiente un'accettazione digitale, ad es. tramite ordine online o e-mail. Non è necessaria una firma.